Trusted Design

CVE-2021-26084 の詳細

CVEの情報

説明:
In affected versions of Confluence Server and Data Center, an OGNL injection vulnerability exists that would allow an unauthenticated attacker to execute arbitrary code on a Confluence Server or Data Center instance. The affected versions are before version 6.13.23, from version 6.14.0 before 7.4.11, from version 7.5.0 before 7.11.6, and from version 7.12.0 before 7.12.5.

CVE更新日: 2021-08-30 07:15:06.587000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-26084に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2021-26084は、Atlassian Confluence ServerおよびData Centerに影響を与える深刻なOGNL（Object-Graph Navigation Language）インジェクションの脆弱性です。この脆弱性は、OGNL式処理メカニズムにおける不適切な入力検証を悪用することで、認証されていない攻撃者が脆弱なConfluenceインスタンス上で任意のコードを実行することを可能にします。この脆弱性は認証を必要とせず、ネットワーク経由でリモートから悪用できるため、インターネットに公開されているConfluence環境にとって非常に危険です。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者はConfluence ServerまたはData Centerのインスタンス上で任意のコードを実行できます。これにより、攻撃者は影響を受けるシステムを完全に制御し、Confluenceサーバー上のデータ、チケット、添付ファイル、キーなどを含むすべてにアクセスできるようになります。 また、侵害されたサーバーを超えて内部ネットワーク内で横展開する可能性もあります。

1.2 深刻度

CVE-2021-26084のCVSSv3基本スコアは9.8（Critical）と評価されています。

2. 対象となる環境

この脆弱性は、Atlassian Confluence ServerおよびData Centerの以下のバージョンに影響を及ぼします。

  • バージョン6.13.23より前のすべてのバージョン
  • バージョン6.14.0から7.4.11より前のバージョン
  • バージョン7.5.0から7.11.6より前のバージョン
  • バージョン7.12.0から7.12.5より前のバージョン

Confluence Cloudサイトはこの脆弱性の影響を受けません。

2.1 影響を受けるOSバージョン

Confluence ServerおよびData Centerが動作しているOSに依存しますが、具体的な影響を受けるOSバージョンは特定されていません。この脆弱性はConfluenceアプリケーション自体に存在します。

2.2 影響を受ける設定

この脆弱性は、認証されていないユーザーによって、設定に関わらず悪用される可能性があります。 ただし、「Allow people to sign up to create their account」オプションが有効になっている場合、非管理者または認証されていないユーザーが脆弱なエンドポイントにリモートでアクセスして悪用できる可能性があります。

3. 影響を受けた時の兆候

影響を受けた場合の兆候として、以下のものが挙げられます。

  • Confluenceサーバーから外部IPアドレスへの予期しないネットワーク接続。
  • Confluenceインストールディレクトリ内の新しいファイルまたは変更されたファイル、特にウェブシェルやバックドアスクリプト。
  • OGNL式評価の失敗に関連するエラーメッセージを示すログエントリ。
  • Javaアプリケーションから異常なプロセスが生成されている。
  • Moneroマイナーなどの暗号通貨マイナーのデプロイ や、ランサムウェア攻撃 。

4. 推奨対策

4.1 本対策

Atlassianは、CVE-2021-26084に対処するためのセキュリティパッチをリリースしています。組織は、以下の修正済みバージョン以降にアップグレードする必要があります。

  • 6.13.xブランチの場合：バージョン6.13.23以降
  • 7.4.xブランチの場合：バージョン7.4.11以降
  • 7.11.xブランチの場合：バージョン7.11.6以降
  • 7.12.xブランチの場合：バージョン7.12.5以降
  • 最新のLong Term Supportリリースである7.13.0以降にアップグレードすることも推奨されます。

4.2 暫定回避策（緩和策）

すぐにパッチを適用できない場合、一時的な回避策として、Confluenceがホストされているオペレーティングシステム用のスクリプトを実行することで問題を軽減できます。 Atlassianは、LinuxベースおよびMicrosoft WindowsベースのConfluence ServerおよびData Centerノード向けの回避策スクリプトを提供しています。

回避策の手順の概要は以下の通りです。

  1. Confluenceをシャットダウンします。
  2. Atlassianが提供するcve-2021-26084-update.sh (Linux) またはcve-2021-26084-update.ps1 (Windows) スクリプトをダウンロードします。
  3. スクリプトを編集し、Confluenceのインストールディレクトリを設定します（Linuxの場合）。
  4. スクリプトに実行権限を与えます（Linuxの場合）。
  5. 回避策スクリプトを実行します。
  6. Confluenceを再起動します。

クラスタでConfluenceを実行している場合は、各ノードでこのプロセスを繰り返す必要があります。

その他、以下の緩和策が推奨されます。

  • Confluenceインスタンスへのネットワークアクセスを信頼できるネットワークのみに制限します。
  • ウェブアプリケーションファイアウォール (WAF) を導入し、OGNLインジェクションパターンを含むリクエストを検出しブロックするルールを実装します。
  • Confluenceインスタンスのアクセスログを詳細に有効にし、集中型SIEMに転送して分析します。
  • Confluence Javaプロセスによって起動される、通常の操作の一部ではない子プロセスを監視するためのアラートを設定します。
  • Confluenceサーバーから不明な外部の宛先へのアウトバウンドネットワーク接続を監視します。
  • Confluenceインストールディレクトリでファイル整合性監視を実装し、不正な変更を検出します。
  • Confluenceへのアクセスは社内ネットワークに限定するなど、外部からのアクセスを制限すべきです。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る